Podatności Vvveb

W Vvveb przed wersją 1.0.8.7 uwierzytelniony IDOR na endpoincie admin/auth-token pozwala dowolnemu administratorowi odczytać i nadpisać tokeny API innego administratora. Podatność została załatana w wersji 1.0.8.7.

W Vvveb przed wersją 1.0.8.7 funkcjonalność resetowania hasła jest podatna na ominięcie uwierzytelniania z powodu niewystarczającej walidacji parametrów GET user i token. Podatność została załatana w wersji 1.0.8.7.

Vvveb przed wersją 1.0.8.2 zawiera podatność na twardo zakodowane dane uwierzytelniające w konfiguracji docker-compose-apache.yaml, co pozwala nieautoryzowanym atakującym uzyskać dostęp do kontenera phpMyAdmin z prekonfigurowanymi danymi bazy danych.

Vvveb przed wersją 1.0.8.1 zawiera podatność na wstrzykiwanie kodu w punkcie końcowym instalacji, gdzie parametr POST subdir jest zapisywany bez oczyszczania do pliku konfiguracyjnego env.php. Atakujący mogą wstrzyknąć dowolny kod PHP, wychodząc z kontekstu ciągu znaków w instrukcji define, co umożliwia nieuwierzytelnione zdalne wykonanie kodu jako użytkownik serwera WWW.

Vvveb w wersjach 1.0.8.6 i wcześniejszych ma funkcje nextRestore() i nextBackup() w kontrolerze kopii zapasowych, które przyjmują parametr GET file i konkatenują go bezpośrednio do DIR_BACKUP bez wywołania sanitizeFileName(). Umożliwia to uwierzytelnionemu administratorowi odczyt dowolnych plików na serwerze oraz zapis zawartości zrzutu SQL w dowolnych lokalizacjach.

Vvveb przed wersją 1.0.8.6 zawiera podatność SSRF, ponieważ walidacja adresów IP obsługuje tylko IPv4, a nie IPv6. Uwierzytelniony użytkownik panelu administracyjnego może wykorzystać proxy oEmbed do odczytu wewnętrznych usług i metadanych chmury, w tym danych uwierzytelniających IAM.

Vvveb przed wersją 1.0.8.6 ma wadliwy mechanizm czyszczenia ścieżek, który pozwala uwierzytelnionemu użytkownikowi z uprawnieniami do kopii zapasowych na odczyt i usunięcie dowolnych plików na serwerze. Można odzyskać dane uwierzytelniające bazy danych, czytać pliki systemowe i usunąć config/db.php, co umożliwia pełne przejęcie strony.

Vvveb przed wersją 1.0.8.6 ma sanitizer HTML, który nie usuwa atrybutów obsługi zdarzeń, gdy tag zawiera znak większości w wartości atrybutu w cudzysłowie. Autor treści o niskich uprawnieniach może przechowywać złośliwy kod JavaScript, który wykonuje się w przeglądarkach odwiedzających i administratorów, co może prowadzić do przejęcia konta administratora.

W Vvveb przed wersją 1.0.8.5 funkcja getThemeFolder() w admin/controller/editor/revisions.php zwraca kontrolowany przez atakującego parametr theme bez sanityzacji, a backupFolder() łączy go z DIR_THEMES przed operacjami editor/revisions/load lub editor/revisions/delete na nazwanym pliku .html. sanitizeBackupFileName() usuwa znaki przejścia tylko z osobnego parametru pliku i nie chroni składnika katalogu motywu. Uwierzytelniony użytkownik z domyślną rolą Editor i uprawnieniem editor/* może przesłać sekwencje przejścia, które przekierowują file_get_contents() lub unlink() do osiągalnego podkatalogu kopii zapasowej poza katalogiem głównym sieci.

W systemie CMS Vvveb od wersji 1.0.0 do 1.0.8.5 funkcja saveGlobalElements() łączy kontrolowaną przez atakującego część ścieżki z katalogiem motywu, co pozwala na path traversal. Uwierzytelniony użytkownik z domyślną rolą Editor może zapisać dowolną treść PHP poza katalogiem motywu, co umożliwia umieszczenie trwałego webshella.

W Vvveb przed wersją 1.0.8.5 handler oEmbedProxy() przyjmuje kontrolowany przez atakującego parametr url i przekazuje go do getUrl(), podczas gdy validateUrl() sprawdza tylko nazwę hosta, nie jego rozwiązane adresy. Uwierzytelniony użytkownik panelu admina może wywołać żądanie do adresów prywatnych, loopback, link-local lub zarezerwowanych.

W Vvveb przed wersją 1.0.8.5 funkcja sanitizeHTML() ma błędne wyrażenie regularne dla atrybutów zdarzeń on* oraz błędny warunek pętli, przez co zabronione zagnieżdżone znaczniki są usuwane tylko raz. Użytkownik z rolą Author lub wyższą może zapisać w polu bio złośliwy JavaScript, który wykonuje się u innych użytkowników.

Vvveb przed wersją 1.0.8.4 umożliwia sprzedawcy o niskich uprawnieniach dostęp do produktów należących do innego sprzedawcy. Kontroler produktów nie sprawdza właściciela produktu przy operacjach duplikowania i usuwania, co pozwala na odczyt, kopiowanie i usuwanie produktów oraz powiązanych danych.

Vvveb przed wersją 1.0.8.4 umożliwia sprzedawcy o niskich uprawnieniach dostęp do rewizji produktów należących do innego sprzedawcy. Zapytania SQL nie sprawdzają właściciela produktu przy odczycie, przywracaniu i usuwaniu rewizji.

Vvveb przed wersją 1.0.8.4 umożliwia autorowi o niskich uprawnieniach dostęp do rewizji postów należących do innego autora. Zapytania SQL nie sprawdzają właściciela posta przy listowaniu, odczycie, przywracaniu i usuwaniu rewizji.

Vvveb przed wersją 1.0.8.4 umożliwia sprzedawcy o niskich uprawnieniach zarządzanie recenzjami produktów należących do innego sprzedawcy. Zapytania SQL nie weryfikują właściciela produktu dla recenzji.

Vvveb przed wersją 1.0.8.4 umożliwia sprzedawcy o niskich uprawnieniach zarządzanie pytaniami pod produktami innego sprzedawcy. Zapytania SQL nie weryfikują właściciela produktu dla pytań.

Vvveb przed wersją 1.0.8.4 zawiera podatność w operacjach komentarzy w panelu administracyjnym, która pozwala użytkownikowi o niskich uprawnieniach (Autor) na zarządzanie komentarzami pod postami innych autorów. Brak weryfikacji własności komentarza względem bieżącego autora umożliwia odczyt treści komentarzy, adresów e-mail, zmianę statusu moderacji, edycję lub usuwanie komentarzy.

Vvveb przed wersją 1.0.8.4 zawiera podatność w operacjach na postach w panelu administracyjnym, która pozwala użytkownikowi o niskich uprawnieniach (Autor) na dostęp do postów należących do innych autorów. Brak spójnego egzekwowania własności postów umożliwia przeglądanie metadanych, duplikowanie lub usuwanie postów, co może ujawnić prywatne szkice i spowodować utratę danych.

Vvveb przed wersją 1.0.8.4 zawiera podatność w operacjach na zasobach cyfrowych w panelu administracyjnym, która pozwala użytkownikowi o niskich uprawnieniach (Vendor) na dostęp do zasobów cyfrowych powiązanych z produktami innych dostawców. Brak egzekwowania granic własności umożliwia listowanie, odczyt nazw i metadanych plików, edycję metadanych lub usuwanie rekordów zasobów.

Vvveb, system CMS z kreatorem stron, zawiera podatność w wersjach przed 1.0.8.3. Szczegóły techniczne nie zostały podane w opisie. Podatność została naprawiona w wersji 1.0.8.3.

Vvveb przed wersją 1.0.8.3 zawiera podatność nieograniczonego przesyłania plików w punkcie końcowym przesyłania wtyczek, która umożliwia użytkownikom super_admin wykonanie dowolnego kodu PHP poprzez przesłanie złośliwego pliku ZIP wtyczki. Atakujący mogą przygotować archiwum ZIP zawierające plik plugin.php z prawidłowym nagłówkiem Slug oraz plik public/index.php z dowolnym kodem PHP, który wykonuje się jako użytkownik serwera WWW po uzyskaniu dostępu przez kolejne nieuwierzytelnione żądania HTTP do ścieżki publicznej wtyczki.

Vvveb przed wersją 1.0.8.3 zawiera niekontrolowaną rekurencję w cyklu dyspozytorskim kontrolera administracyjnego, gdzie Base::init() wielokrotnie wywołuje permission() na procedurach obsługi błędów, powodując nieskończoną rekurencję aż do wyczerpania limitów pamięci PHP. Atakujący mogą wysyłać ciągłe żądania do zabronionych adresów URL administracyjnych z konta o niskich uprawnieniach, aby wyczerpać pamięć PHP na wszystkich pracownikach i spowodować odmowę usługi dla legalnego ruchu.

Vvveb przed wersją 1.0.8.3 zawiera podatność na ujawnienie listy katalogów, która pozwala nieuwierzytelnionym atakującym na wyliczenie plików i katalogów poprzez dostęp do wielu ścieżek pozbawionych odpowiednich dyrektyw indeksowania w plikach .htaccess. Atakujący mogą uzyskać dostęp do katalogów takich jak ścieżki zasobów administracyjnych, wtyczek, motywów i folderów multimediów, aby wyświetlić nazwy plików, rozmiary plików, znaczniki czasu modyfikacji oraz nieprzetworzone szablony administracyjne zawierające wrażliwe mapy tras.

Vvveb przed wersją 1.0.8.3 zawiera podatność na trwałe cross-site scripting (XSS) w procesie rejestracji klienta. Kontroler Signup::addUser() kopiuje surowe wartości pola username z żądania POST do pola display_name przed sanityzacją, co pozwala atakującym na wstrzyknięcie kodu HTML i JavaScript.

Vvveb przed wersją 1.0.8.2 zawiera nieuwierzytelnioną, odbitą podatność na atak XSS w mechanizmie podglądu edytora wizualnego. Atakujący może wykorzystać parametr 'r' oraz parametr POST '_component_ajax', aby wstrzyknąć i wykonać dowolny kod JavaScript w kontekście domeny Vvveb.

Vvveb przed wersją 1.0.8.2 zawiera podatność ujawnienia informacji w kontrolerze cron, która pozwala nieuwierzytelnionym atakującym na pobranie tajnego klucza cron aplikacji. Atakujący mogą uzyskać dostęp do kontrolera cron bez uwierzytelnienia i odczytać ujawniony tajny klucz z odpowiedzi, co umożliwia im wyzwalanie zaplanowanych zadań poza zamierzonym harmonogramem.

Vvveb przed wersją 1.0.8.2 zawiera podatność na nieograniczone przesyłanie plików w obsłudze przesyłania mediów, która pozwala uwierzytelnionym użytkownikom z uprawnieniami do przesyłania mediów na obejście ograniczeń dotyczących rozszerzeń poprzez przesłanie pliku .htaccess. Umożliwia to atakującym przesyłanie plików .phtml zawierających dowolny kod PHP i wykonanie ładunku poprzez nieautoryzowane żądanie HTTP GET.

Vvveb przed wersją 1.0.8.2 zawiera podatność na wstrzykiwanie zewnętrznych jednostek XML (XXE) w funkcji importu narzędzi administracyjnych, co pozwala uwierzytelnionym użytkownikom site_admin na odczyt dowolnych plików oraz modyfikację rekordów w bazie danych.

Vvveb przed wersją 1.0.8.2 zawiera podatność na zdalne wykonanie kodu z uwierzytelnieniem w edytorze kodu administratora, która pozwala użytkownikom o niskich uprawnieniach na wykonanie dowolnego kodu poprzez niewystarczające ograniczenia dotyczące rozszerzeń plików.

Vvveb przed wersją 1.0.8.2 zawiera lukę ujawnienia informacji, która pozwala nieuwierzytelnionym atakującym uzyskać wrażliwe informacje o serwerze poprzez wywołanie nieobsłużonych wyjątków w module resetowania hasła. Atakujący może uzyskać dostęp do punktu końcowego resetowania hasła administratora, wywołując błąd krytyczny spowodowany brakującym importem przestrzeni nazw, co ujawnia absolutną ścieżkę pliku, wewnętrzne przestrzenie nazw klas, numery linii i fragmenty kodu źródłowego.

Vvveb przed wersją 1.0.8.1 zawiera podatność na trwałe ataki XSS, umożliwiającą uwierzytelnionym użytkownikom z uprawnieniami do przesyłania i zmiany nazw plików ominięcie walidacji typu MIME poprzez dodanie nagłówka GIF89a do ładunku HTML/JavaScript, a następnie zmianę nazwy pliku na rozszerzenie .html. Pozwala to na wykonanie dowolnego kodu JavaScript w sesji przeglądarki administratora, co może prowadzić do utworzenia kont zapasowych i wgrania złośliwych wtyczek umożliwiających zdalne wykonanie kodu.

Vvveb przed wersją 1.0.8.1 zawiera podatność na fałszowanie żądań po stronie serwera (SSRF) w akcji oEmbedProxy modułu editor/editor. Parametr url jest przekazywany bezpośrednio do getUrl() przez curl bez walidacji schematu lub celu. Uwierzytelnieni użytkownicy backendu mogą używać URL-i file:// do odczytu dowolnych plików dostępnych dla procesu serwera WWW lub URL-i http:// skierowane na wewnętrzne adresy sieciowe do skanowania wewnętrznych usług, a treść odpowiedzi jest zwracana bezpośrednio do wywołującego.

W Vvveb przed wersją 1.0.8.1 występuje podatność na eskalację uprawnień w punkcie końcowym zapisu profilu administratora. Uwierzytelnieni użytkownicy mogą modyfikować uprzywilejowane pola swojego profilu, wstrzykując role_id=1, co prowadzi do uzyskania uprawnień Super Administratora i umożliwia zdalne wykonanie kodu przez wgrywanie wtyczek.

W givanz Vvveb do wersji 1.0.7.3 zidentyfikowano podatność path traversal w funkcji sanitizeFileName w pliku system/functions.php komponentu Code Editor. Manipulacja argumentem File pozwala na dostęp do plików poza dozwolonym katalogiem. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.

W givanz Vvveb do wersji 1.0.7.3 występuje podatność w funkcji Import w pliku admin/controller/tools/import.php komponentu Raw SQL Handler. Manipulacja prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.

W givanz Vvveb do wersji 1.0.7.2 wykryto podatność na cross-site request forgery (CSRF). Atakujący może zdalnie wykonać manipulację, a exploit jest publicznie dostępny. Maintainer projektu potwierdził podatność i zapowiedział poprawkę.

W givanz Vvveb do wersji 1.0.7.2 odkryto lukę bezpieczeństwa w komponencie Image Handler. Manipulacja prowadzi do ujawnienia informacji. Atak można przeprowadzić zdalnie, a exploit został publicznie udostępniony.

W Vvveb (do wersji 1.0.7.2) wykryto podatność w nieznanej funkcji komponentu obsługi plików SVG. Podatność typu cross-site scripting (XSS) może być wykorzystana zdalnie. Exploit jest publicznie dostępny i może zostać użyty.

Podatność w givanz Vvveb do wersji 1.0.7.2 dotyczy nieznanej funkcjonalności komponentu Configuration File Handler. Manipulacja prowadzi do ujawnienia informacji. Atak może być zainicjowany zdalnie, a exploit jest publicznie dostępny.

W givanz Vvveb 1.0.7.2 wykryto podatność w pliku app/template/user/login.tpl, polegającą na manipulacji argumentami Email/Password prowadzącej do cross-site scripting (XSS). Atak można przeprowadzić zdalnie, a poprawka została udostępniona w commicie bbd4c42c66ab818142240348173a669d1d2537fe.